Cibercriminosos utilizam até informações disponíveis em redes sociais, como Facebook e LinkedIn, para criar e-mails maliciosos convincentes.
O uso bem-sucedido de e-mails de phishing para invadir organizações seguras como a Oak Ridge National Laboratory e a divisão de segurança da EMC é um duro lembrete da séria ameaça oferecida por um tipo de ataque que, não faz muito tempo, era descartado como algo muito simples.
No mês passado, o laboratório Oak Ridge descobriu que um malware sofisticado de roubo de dados havia se infiltrado em suas redes. A invasão teve origem em um e-mail de phishing enviado para cerca de 600 funcionários.
A mensagem foi “disfarçada” para parecer um comunicado sobre mudanças de benefícios escrito pelo departamento de recursos humanos. Quando alguns empregados clicaram em um link anexado no e-mail, o malware foi baixado para seus computadores.
Esses tipos de e-mails agora parecem ser o método preferido para invadir redes corporativas, segundo o fundador da empresa de segurança Invincea, Anup Ghosh.
“Você só precisa de uma taxa de clicks muito baixa para estabelecer vários pontos de presença em uma organização”, disse Ghosh. “Se você tem mil funcionários em sua organização e os treina para não abrir arquivos anexos não confiáveis, ainda terá alguém fazendo isso. Esse não é um problema que você pode evitar com treinamento.”
Para piorar, as campanhas de phishing estão cada vez mais sofisticadas.
Grupos do cibercrime organizado estão usando e-mails criados de maneira convincente para mirar executivos de alto nível e funcionários das organizações-alvo. Em muitos casos, os e-mails de phishing são personalizados, localizados e desenvolvidos de maneira a parecer como se tivessem se originado de uma fonte confiável.
Além disso, informações de sites de redes sociais como Facebook e LinkedIn estão sendo utilizadas para tornar os ataques de phishing direcionados mais difíceis de detectar, disse o analista da Gartner, John Pescatore.
“Com todas as informações pessoais e listas de amigos que as pessoas expõem nesses sites não é muito difícil criar e-mails que pareçam muito pessoais”, afirmou.
Fonte: Computerworld/EUA em IDG Now
